Des responsables de l’Université Vanderbilt (VU) ont demandé aux étudiants et au corps professoral de déconnecter leurs appareils du réseau Wi‑Fi de l’établissement après qu’une probable attaque par ransomware a touché l’institution lundi, selon les chaînes d’information locales et le journal étudiant. Les auteurs de l’attaque affirment avoir dérobé des données de plus d’un million de personnes liées à l’université.
« Tout le monde suit les protocoles de VU et attend de nouvelles instructions », a déclaré la doyenne de la Blair School of Music, Melissa Rose, aux étudiants dans une déclaration peu après 10h, heure locale, selon The Vanderbilt Hustler (et non lié au autre Hustler). « VUIT travaille dessus. Pour l’instant, nous demandons simplement à chacun de rester totalement hors du réseau jusqu’à ce que nous en sachions plus. »
« NE PAS tenter d’enquêter, de dépanner, ou de résoudre le problème par vous‑même », ont écrit les responsables de VU dans une autre notification, selon Axios. « ÉTEIGNEZ VOTRE APPAREIL IMMÉDIATEMENT pour aider à prévenir d’éventuels risques de sécurité supplémentaires. »
Selon The Hustler, l’université a également dépêché du personnel informatique pour avertir les professeurs de fermer leurs ordinateurs. Le journal a rapporté que l’université a aussi exhorté les utilisateurs à fermer toutes les instances des documents Microsoft Word et/ou des dossiers OneDrive et Dropbox.
Les étudiants utilisant les appareils fournis par l’université ont vu les postes de travail de leurs appareils se remplir soudainement de copies du fichier README des attaquants, ainsi que des fenêtres contextuelles. On ignore l’ampleur des données perdues, bien que The Hustler ait rapporté que certains professeurs avaient annulé des cours malgré une déclaration des responsables de VU indiquant que les cours « se déroulent comme prévu ». Nashville Scene a signalé qu’une personne a vu ses fichiers réécrits dans un format codé « .byod », tandis qu’une autre a confié au magazine d’actualité que leurs recherches hébergées sur les systèmes universitaires étaient inaccessibles et qu’ils devaient basculer vers des sauvegardes personnelles.
Selon un message de rançon téléchargé sur Ransomware.live, une plateforme qui regroupe des informations publiquement visibles sur les attaques informatiques, l’acteur de menace connu sous le nom de BYOD a revendiqué l’attaque.
« Si vous ne pouvez pas le dire déjà, vos bases de données sont verrouillées », ont affirmé les prétendus attaquants sur le site. « Nous possédons l’ensemble de votre domaine et de vos données de recherche. Plus d’un Million de SSN, noms complets, adresses électroniques, numéros de téléphone, dossiers étudiants et employés, prise de contrôle complète de votre DC, tout ce qui était sur votre réseau, nous le possédons. De toute façon, vous savez où nous trouver (onglet contact). »
BYOD est un nom qui se moque de « Bring Your Own Device », ou des politiques qui permettent aux utilisateurs d’accéder aux réseaux d’entreprise à partir de leurs appareils personnels. Ces politiques échangent essentiellement coût et commodité contre une surface d’attaque accrue et des niveaux de risque que le cabinet de sécurité Pwnie Express qualifie d’« Internet des Chooses Maléfiques ». Les équipes de sécurité disposent généralement de beaucoup moins de contrôle ou de visibilité sur les appareils personnels. Dans le contexte des universités, avec leurs cohorts d’étudiants et de prestataires externes, c’est un problème qui ne peut être qu’en résistance, non résolu. Tout comme les hôpitaux, les universités constituent également des cibles privilégiées pour les gangs de ransomwares, tant en raison de la quantité de données qu’elles hébergent que du coût élevé des perturbations des activités habituelles.
Comme Axios l’a noté, BYOD a déjà revendiqué des attaques sur l’Université d’État du Michigan et le Système de Santé de l’Université du Nouveau-Mexique.
Le service de presse de Vanderbilt n’a pas immédiatement répondu à une demande de commentaire de Gizmodo, mais nous ferons une mise à jour si nous obtenons une réponse.
